Heroku

Nein. Heroku ist eine Hosting Plattform und setzt keine Cookies bei den öffentlichen Besuchern von Kundenanwendungen. Cookies auf einer auf Heroku gehosteten Seite stammen aus dem Anwendungscode selbst oder aus Drittanbieter Skripten, die die Anwendung lädt.

Nein. Reines Hosting und HTTP Routing speichern keine Informationen auf dem Endgerät, daher wird die ePrivacy Einwilligungspflicht nicht ausgelöst. Einwilligungspflichten ergeben sich aus der auf Heroku laufenden Anwendung, nicht aus Heroku selbst.

Für Hosting und Routing der Anwendung ist die Rechtsgrundlage berechtigtes Interesse nach Art. 6 Abs. 1 lit. f DSGVO. Der Vertrag mit Heroku stützt sich auf Art. 6 Abs. 1 lit. b DSGVO. Personenbezogene Daten in Heroku Postgres oder Heroku Connect folgen der vom Anwendungsbetreiber gewählten Rechtsgrundlage.

Heroku wird von Salesforce betrieben. Salesforce schließt über sein Auftragsverarbeitungs Addendum die EU Standardvertragsklauseln nach Art. 46 Abs. 2 lit. c DSGVO ab und bestätigt die Teilnahme am EU US Data Privacy Framework. Ergänzende Maßnahmen umfassen TLS 1.3, Verschlüsselung im Ruhezustand, ISO 27001 und SOC 2 Typ II, mit Heroku Shield für HIPAA und PCI Workloads.

Für eine Standardanwendung auf Heroku ist keine DSFA erforderlich. Eine DSFA wird empfohlen, wenn die Anwendung EU Nutzer systematisch profiliert, wenn Heroku Postgres große Mengen personenbezogener Daten speichert, wenn Heroku Shield für HIPAA Workloads eingesetzt wird oder wenn die Anwendung regulierte Branchen adressiert.

Schließen Sie das Salesforce Auftragsverarbeitungs Addendum ab, betreiben Sie die Produktion in der Region eu-west-1 oder in einem Private Space in Frankfurt oder Dublin, konfigurieren Sie die Log Aufbewahrung, verschlüsseln Sie sensible Spalten in Heroku Postgres und führen Sie Heroku als Auftragsverarbeiter im Verzeichnis von Verarbeitungstätigkeiten. Nennen Sie die US Übermittlung an Salesforce in der Datenschutzerklärung und prüfen Sie jedes Add on, das personenbezogene Daten verarbeitet.

Europäische oder Open Source Alternativen sind Scaleway Serverless (Frankreich), Clever Cloud (Frankreich), Web PaaS von OVHcloud (Frankreich), Render mit EU Regionen, Fly.io mit europäischen Regionen, Coolify (Open Source self hosted) und selbst gehostetes Kubernetes auf Hetzner oder Scaleway.

Führen Sie Heroku (Salesforce) als Hosting Auftragsverarbeiter auf, weisen Sie darauf hin, dass die Anwendung in der EU Region Irland oder in einem Private Space betrieben wird, geben Sie an, dass Daten einschließlich IP Adressen unter SCC und EU US Data Privacy Framework in die USA übermittelt werden können, und verlinken Sie die Salesforce Datenschutzerklärung.